Verwalten von Genehmigungsanforderungen in Azure Enklave

In diesem Artikel wird erläutert, wie Genehmigungsanforderungen in Azure Enklave überprüft, genehmigt und abgelehnt werden. Benutzer mit der Rolle Enclave Approver können Genehmigungsanfragen verwalten, um eine ordnungsgemäße Überwachung kritischer Infrastrukturänderungen sicherzustellen.

Important

Das Feature "Genehmigungen" befindet sich derzeit in der Vorschau. Dieses Feature wird zum Testen empfohlen, sollte aber während der Vorschau nicht für Produktionsworkloads verwendet werden.

Voraussetzungen

Zum Verwalten von Genehmigungsanforderungen benötigen Sie Folgendes:

  • Die Genehmigerrolle der Enklave, die auf Enklaven- oder Community-Ebene zugewiesen wird
  • Zugriff auf das Azure-Portal oder azure CLI
  • Berechtigungen zum Anzeigen der Ressourcen im Zusammenhang mit der Genehmigungsanforderung

Ausstehende Genehmigungsanforderungen anzeigen

  1. Melden Sie sich im Azure-Portal an.

  2. Navigieren Sie zu Ihrer Azure Enclave-Enklave oder Communityressource.

  3. Wählen Sie im linken Navigationsmenü die Option Approvalsaus.

  4. Auf der Seite "Genehmigungen" werden alle ausstehenden, genehmigten und abgelehnten Anforderungen angezeigt.

  5. Verwenden Sie die Filter, um bestimmte Arten von Anforderungen anzuzeigen:

    • Approval status: Pending, ApprovedRejected
    • Anforderer: Filtern Sie nach der Einreichung der Anfrage
    • Requested on: Filtern nach Übermittlungsdatum/Uhrzeitbereich
    • Parent Resource: Filtern Sie nach der Enklave oder der relevanten Community
    • Action Type (wenn in Ihrem Portal angezeigt): Nach dem angeforderten Vorgang filtern

Überprüfen einer Genehmigungsanforderung

Bevor Sie eine Anforderung genehmigen oder ablehnen, überprüfen Sie die Details sorgfältig:

  1. Markiere in der Approvals Liste das Kontrollkästchen für die Anfrage, die du prüfen möchtest, und wähle Review.

  2. Auf der Seite "Genehmigungsdetails" wird Folgendes angezeigt:

    • Resource: Die angeforderte Ressource
    • Enclave oder Community: Links zu den übergeordneten Ressourcen, die mit der Anfrage verbunden sind.
    • Requester: Der Benutzer, der die Anforderung übermittelt hat
    • Request date: Zeitpunkt der Übermittlung der Anforderung
    • Ticket Id: Ein optionales Feld, das Sie mit Ihrem Änderungsverfolgungssystem verlinken können
    • Approvals: Ermöglicht es Ihnen, diese Anfrage zu genehmigen oder abzulehnen
    • Approval status: Der Status der Erfüllung der Genehmigungsvoraussetzungen.
    • Approver details: Die Liste, wer den Antrag genehmigt oder abgelehnt hat.

  3. Überprüfen Sie alle Informationen sorgfältig, bevor Sie eine Entscheidung treffen.

Genehmigen einer Anfrage

Nachdem Sie eine Anforderung überprüft haben, genehmigen Sie sie, damit die Änderung fortgesetzt werden kann:

  1. Wählen Sie auf der Seite mit den Genehmigungsdetails die Option Approveaus.

  2. Wählen Sie diese Option Submit aus, um die Anforderung zu genehmigen.

  3. Der Anforderungsstatus ist jetzt Approved und die Ressourcenänderung wird automatisch implementiert.

Eine Anforderung ablehnen

Wenn ein Antrag die Genehmigungskriterien nicht erfüllt, lehnen Sie ihn ab:

  1. Wählen Sie auf der Seite mit den Genehmigungsdetails die Option Rejectaus.

  2. Wählen Sie diese Option Submit aus, um die Anforderung abzulehnen.

  3. Der Status der Anforderung ändert sich zu Rejected, und die Ressourcenänderung wird nicht durchgeführt.

Allgemeine Genehmigungsszenarien

Genehmigen der Enklavenerstellung

Beim Überprüfen einer Enklavenerstellungsanforderung:

  1. Überprüfen des Zwecks und des Besitzes: Bestätigen Sie, dass die Enklave über einen klaren Geschäftszweck und verantwortliche Besitzer verfügt
  2. Zuordnung und Geltungsbereich prüfen: Vergewissern Sie sich, dass die Enklave in der richtigen Community und im richtigen Geltungsbereich erstellt wird.
  3. Überprüfen der grundlegenden Sicherheitserwartungen: Sicherstellen, dass erforderliche Governance- und Sicherheitskontrollen geplant sind
  4. Benennungs- und Lebenszyklusstandards bestätigen: Überprüfen der Ausrichtung mit Benennungs-, Tagging- und Lebenszyklusanforderungen

Beispielgenehmigung: "Genehmigt. Die neue Enklave entspricht dem genehmigten Plan zur Aufnahme von Workloads und erfüllt die Anforderungen an Eigentümerschaft und Governance.

Beispiel-Ablehnung: "Abgelehnt. Zweck der Enklave und Eigentumsverhältnisse sind unvollständig. Geben Sie die zuständigen Verantwortlichen und eine aktualisierte Begründung für die Bereitstellung an, bevor Sie die Übermittlung erneut vornehmen.

Genehmigen einer Änderung des Wartungsmodus

Beim Überprüfen einer Wartungsmodusanforderung:

  1. Überprüfen des Wartungsfensters: Bestätigen, dass die Änderung an einem genehmigten Wartungsfenster ausgerichtet ist
  2. Überprüfen der Auswirkungskommunikation: Sicherstellen, dass betroffene Stakeholder informiert sind
  3. Überprüfen von Rollback-/Bereitschaftsplänen: Bestätigen Sie, dass ein klarer Rollback- oder Abschlussplan vorhanden ist.
  4. Bewerten des betriebsbedingten Risikos: Überprüfen der Dienst- und Abhängigkeitswirkung vor der Genehmigung

Beispielgenehmigung: "Genehmigt. Der Wartungsmodus wird im genehmigten Änderungsfenster mit einem dokumentierten Rollbackplan geplant."

Beispiel-Ablehnung: "Abgelehnt. Wartungsfenster und Serviceeffektplan fehlen. Fügen Sie Details zur Betriebsbereitschaft hinzu, und übermitteln Sie sie erneut."

Genehmigen einer Enklavenverbindung

Beim Überprüfen einer Enklavenverbindungsanforderung:

  1. Überprüfen der Quelle und des Ziels: Stellen Sie sicher, dass die Verbindung zwischen autorisierten Enklaven oder externen Endpunkten besteht.
  2. Überprüfen von Netzwerkregeln: Überprüfen der Firewallregeln und Netzwerksicherheitsgruppenkonfigurationen
  3. Überprüfen der geschäftlichen Begründung: Bestätigen Sie, dass eine legitime geschäftliche Notwendigkeit für die Verbindung besteht.
  4. Bewerten von Sicherheitsauswirkungen: Bewerten, ob die Verbindung Sicherheitsrisiken darstellt
  5. Überprüfen der Complianceanforderungen: Sicherstellen, dass die Verbindung den Compliancestandards der Organisation entspricht

Beispielgenehmigung: "Genehmigt. Die Verbindung zwischen Produktions- und Logging-Enklave ist für die zentrale Protokollaggregation erforderlich. Das Sicherheitsteam hat die Firewallregeln überprüft."

Beispiel-Ablehnung: "Abgelehnt. Für die Verbindung mit einem externen Endpunkt ist eine weitere Sicherheitsüberprüfung erforderlich. Übermitteln Sie eine detaillierte Sicherheitsbewertung, und erhalten Sie die InfoSec-Genehmigung, bevor Sie sie erneut übermitteln."

Genehmigen eines Enklavenendpunkts

Beim Prüfen einer Anforderung für einen Enklave-Endpunkt:

  1. Überprüfen von Endpunktregeln: Überprüfen der Netzwerkregeln, die hinzugefügt oder geändert werden
  2. Erlaubten/blockierten Datenverkehr überprüfen: Stellen Sie sicher, dass die Endpunktkontrollen mit den Sicherheitsrichtlinien übereinstimmen
  3. Auf übermäßig freizügige Regeln prüfen: Suchen Sie nach Regeln, die übermäßigen Zugriff gewähren könnten
  4. Konformität überprüfen: Bestätigen, dass die Endpunktkonfiguration die Complianceanforderungen erfüllt

Beispielgenehmigung: "Genehmigt. Die Endpunktkonfiguration folgt den Prinzipien der geringsten Rechte, und das Netzwerksicherheitsteam hat diese Anforderung überprüft."

Beispiel-Ablehnung: "Abgelehnt. Endpunkt ermöglicht Datenverkehr von 0.0.0.0/0, was gegen die Sicherheitsrichtlinie verstößt. Auf bestimmte IP-Bereiche beschränken und erneut übermitteln."

Genehmigung eines Community-Endpunkts

Beim Überprüfen einer Community-Endpunktanforderung:

  1. Bewerten der externen Konnektivität: Überprüfen, ob das externe Ziel vertrauenswürdig und erforderlich ist
  2. Überprüfen der Konfiguration des Transithubs: Wenn VPN oder ExpressRoute beteiligt sind, stellen Sie die richtige Konfiguration sicher.
  3. Überprüfen von Firewallregeln: Überprüfen, ob Azure Firewall Regeln angemessen restriktiv sind
  4. Überprüfen des Drittanbieterzugriffs: Wenn Sie den Zugriff auf/von externen Parteien zulassen, stellen Sie eine ordnungsgemäße Autorisierung sicher.

Beispielgenehmigung: "Genehmigt. Vpn-Verbindung zum Partnernetzwerk ist für den Datenaustausch erforderlich, wie in der Partnerschaftsvereinbarung angegeben. Die Verbindung ist mit IPsec ordnungsgemäß gesichert."

Beispiel-Ablehnung: "Abgelehnt. Für die externe Verbindung ist eine Genehmigung durch den Chief Information Security Officer (CISO) erforderlich. Einholen einer schriftlichen Genehmigung und Anfügen an die Anfrage."

Massenfreigabevorgänge

Auf der Seite Genehmigungen können derzeit Anfragen nur einzeln bearbeitet werden. Wählen Sie eine einzelne Anfrage aus und verwenden Sie auf der Genehmigungsdetailseite Approve oder Reject. In dieser Ansicht gibt es keine Option, mehrere Elemente per Mehrfachauswahl gesammelt zu genehmigen oder abzulehnen.

Genehmigungsverlauf anzeigen

Genehmigte und abgelehnte Anfragen bleiben in derselben Approvals Liste neben ausstehenden Anfragen sichtbar:

  1. Navigieren Sie zu Ihrer Enklave oder Communityressource.

  2. Wählen Sie Approvals im linken Navigationsmenü aus.

  3. Filtern Sie die Liste nach:

    • Approval status: Nur genehmigte oder abgelehnte Anfragen anzeigen.
    • Requested on: Genehmigungen für einen bestimmten Zeitraum einsehen.
    • Requester: Siehe Anfragen von bestimmten Nutzern.
    • Action Type: Filtern Sie nach Ressourcentyp oder Operation.

  4. Wählen Sie eine beliebige historische Anfrage aus, um die vollständigen Details einzusehen.

Benachrichtigungsverhalten

Das Feature "Genehmigungen" bietet derzeit keine integrierte E-Mail-Benachrichtigungsoption für Genehmigungsanforderungen.

Verwenden Sie die Überwachungs- und Betriebsprozesse Ihrer Organisation, um ausstehende Genehmigungen nachzuverfolgen und zu triagen.

Bewährte Methoden für die Genehmigungsverwaltung

Beim Verwalten von Genehmigungsanforderungen:

  1. Zeitnahes Überprüfen: Reagieren Sie rechtzeitig auf Genehmigungsanforderungen, um zu verhindern, dass legitime Vorgänge blockiert werden.

  2. Geben Sie klares Feedback: Erläutern Sie beim Ablehnen von Anfragen den Grund, und geben Sie Anleitungen für eine erneute Ansendung.

  3. Dokumententscheidungen: Hinzufügen von Kommentaren zu Genehmigungen zur Erläuterung der Begründung, insbesondere für komplexe Entscheidungen

  4. Verwenden Sie einheitliche Kriterien: Wenden Sie dieselben Genehmigungsstandards für ähnliche Anforderungen an, um Fairness zu gewährleisten.

  5. Eskalieren sie bei Bedarf: Wenn sie sich über eine Anfrage unsicher sind, eskalieren Sie zu leitenden Führungskräften oder Sicherheitsteams.

  6. Regelmäßige Prüfungen: Überprüfen Sie regelmäßig den Genehmigungsverlauf, um Muster oder potenzielle Probleme zu identifizieren.

  7. Updaterichtlinien: Basierend auf Genehmigungsmustern aktualisieren Sie Governancerichtlinien, um den Prozess zu verbessern.

  8. Kommunikation mit Antragstellern: Bei komplexen Anforderungen sollten Sie mit dem Antragsteller diskutieren, bevor Sie eine Entscheidung treffen.

Genehmigungsbefugnis delegieren

In einigen Fällen müssen Sie möglicherweise die Genehmigungsbehörde vorübergehend delegieren:

  1. Navigieren Sie zu Access control (IAM) für die Enklave oder Community.

  2. Weisen Sie dem Delegierten die Enclave-Genehmigerrolle zu.

  3. Legen Sie ein Ablaufdatum für temporäre Delegierungen fest.

  4. Bei dauerhafter Delegierung sollten Sie Azure PIM mit entsprechenden Genehmigungsworkflows verwenden.

Weitere Informationen zu Rollenzuweisungen

Troubleshooting

Ausstehende Genehmigungsanforderungen kann nicht angezeigt werden

Ursache: Sie verfügen nicht über die Rolle „Enclave-Genehmiger“, oder die Rolle ist im falschen Geltungsbereich zugewiesen.

Lösung: Prüfen Sie bei Ihrem Administrator, ob Ihnen die Rolle „Enklave-Genehmiger“ auf der entsprechenden Ebene (Enklave oder Community) zugewiesen ist.

Genehmigte Anforderung wird nicht implementiert

Ursache: Die Ressource weist möglicherweise Konflikte oder unzureichende Berechtigungen auf, um die Bereitstellung abzuschließen.

Lösung: Überprüfen Sie Azure Aktivitätsprotokolle auf Fehler. Stellen Sie sicher, dass das System über die erforderlichen Berechtigungen zum Implementieren der genehmigten Änderung verfügt.

Genehmigung oder Ablehnung nicht möglich

Ursache: Überprüfen Sie, ob eine andere genehmigende Person die Anforderung bereits verarbeitet hat oder ob ein Berechtigungsproblem aufgetreten ist.

Lösung: Aktualisieren Sie die Seite, um den aktuellen Status anzuzeigen. Wenn das Problem weiterhin besteht, überprüfen Sie Ihre Rollenzuweisung.

Nächste Schritte

  • Zuletzt aktualisiert um